Политика обработки персональных данных

1.1. Настоящая Политика обработки персональных данных (далее — «Политика») разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «152-ФЗ») и определяет порядок обработки персональных данных и меры по обеспечению их безопасности, принимаемые Индивидуальным предпринимателем Школьником Итаем (далее «Оператор») при предоставлении программного сервиса UmniCRM (далее — «Сервис»), доступного по адресу https://umnicrm.ru.

1.2. Сервис представляет собой CRM-систему по модели SaaS: юридические лица и индивидуальные предприниматели (далее — «Клиенты») используют Сервис для ведения базы своих контактов, сделок, задач и документов.

1.3. Оператор выступает в двух ролях: (а) как оператор персональных данных пользователей Сервиса (Клиентов и их сотрудников) и (б) как лицо, осуществляющее обработку по поручению Клиента в отношении персональных данных лидов, клиентов, кандидатов и иных контактов, которые Клиент вносит в Сервис (раздел 5).

1.4. Политика является общедоступным документом и размещается по адресу https://umnicrm.ru/privacy. Использование Сервиса означает ознакомление субъекта с настоящей Политикой.

2.1. Персональные данные пользователей Сервиса (Клиентов и приглашённых ими сотрудников):

• фамилия, имя (имя пользователя), адрес электронной почты, номер телефона;
• наименование организации, должность, часовой пояс, язык интерфейса, фотография профиля (если загружена);
• учётные данные: хеш пароля (пароль в открытом виде не хранится), идентификаторы сессий, дата и время входа, IP-адрес, сведения о браузере (user agent);
• данные о подписке и платежах: выбранный тариф, статус, сумма, даты начала и окончания, номер счёта у платёжного провайдера (реквизиты банковских карт Оператор не получает и не хранит);
• содержание обращений в службу поддержки;
• содержание переписки с ИИ-консультантом на сайте (для посетителей сайта, обратившихся в чат), включая сообщённые в чате имя, контакты и сведения о бизнесе;
• файлы cookie, необходимые для работы Сервиса (идентификатор сессии, партнёрский код);
• записи о согласиях: вид согласия, версия текста, дата и время, IP-адрес, сведения о браузере, страница, на которой дано согласие, дата отзыва.

2.2. Персональные данные, вносимые Клиентами в Сервис (лиды, клиенты, кандидаты, контрагенты Клиента):

• фамилия, имя, отчество, наименование компании, должность;
• номер телефона, адрес электронной почты, адрес;
• история взаимодействий: заметки, задачи, встречи, статусы сделок, суммы сделок и платежей;
• документы: коммерческие предложения, договоры, электронные подписи (изображение подписи, дата, время, IP-адрес подписанта);
• файлы и изображения, загруженные Клиентом в карточку контакта;
• сведения, указанные кандидатами в анкетах на вакансии Клиента, и посетителями при онлайн-записи на встречу;
• иные сведения, которые Клиент решил внести в пользовательские поля.

2.3. Оператор не обрабатывает специальные категории персональных данных (ст. 10 152-ФЗ) и биометрические персональные данные (ст. 11 152-ФЗ). Клиент обязуется не вносить такие данные в Сервис. Оператор не собирает персональные данные лиц младше 18 лет.

• регистрация и предоставление доступа к Сервису UmniCRM (umnicrm.ru), идентификация и аутентификация пользователя;
• заключение и исполнение договора (оферты) с Клиентом, включая приём оплаты подписки через платёжного провайдера и напоминания об окончании пробного периода и продлении;
• предоставление Клиенту инструментов для ведения его собственной базы контактов, сделок, задач, документов, рассылок и подбора персонала (обработка по поручению Клиента, раздел 5);
• направление уведомлений, связанных с работой Сервиса: подтверждение адреса, приглашения в команду, напоминания о задачах и платежах, уведомления об изменениях в Сервисе;
• ответы на обращения пользователей и техническая поддержка;
• консультирование посетителей сайта о Сервисе через чат на сайте и связь с ними по вопросу подключения Сервиса;
• подтверждение факта дачи согласия и обеспечение безопасности Сервиса: предотвращение несанкционированного доступа, расследование инцидентов;
• исполнение обязанностей, возложенных на Оператора законодательством Российской Федерации.

3.1. Направление рекламных и информационных рассылок о Сервисе является отдельной целью и осуществляется только при наличии отдельного согласия пользователя (текст согласия), которое не является условием использования Сервиса и может быть отозвано в любой момент.

3.2. Оператор не использует персональные данные для рекламы третьих лиц, не продаёт и не передаёт их третьим лицам в маркетинговых целях, не принимает решений, порождающих юридические последствия, исключительно на основе автоматизированной обработки.

4.1. Обработка персональных данных осуществляется на следующих основаниях (ст. 6 152-ФЗ):

• п. 1 ч. 1 ст. 6: согласие субъекта персональных данных, выраженное при регистрации и при принятии приглашения в команду;
• п. 5 ч. 1 ст. 6: обработка необходима для заключения и исполнения договора, стороной которого является субъект (Пользовательское соглашение, публичная оферта), в том числе ст. 23 и 434 Гражданского кодекса Российской Федерации;
• ч. 3 ст. 6: обработка по поручению Клиента в отношении данных, внесённых Клиентом или полученных через его публичные формы (раздел 5);
• п. 2 ч. 1 ст. 6: обработка необходима для исполнения обязанностей, возложенных законодательством (в том числе налоговым и о бухгалтерском учёте);
• ч. 5 ст. 21: хранение данных в течение установленных законом сроков после прекращения договора.

4.2. Согласие на обработку персональных данных даётся отдельной неотмеченной по умолчанию отметкой (чекбоксом) в электронной форме, со ссылкой на полный текст согласия (https://umnicrm.ru/consent). Принятие оферты и согласие на получение рекламных рассылок оформляются отдельными отметками; согласие на рассылки не является условием использования Сервиса. При каждой отметке Оператор фиксирует вид согласия, версию текста, дату и время, IP-адрес, сведения о браузере и страницу, на которой дано согласие.

5.1. В отношении персональных данных лидов, клиентов, кандидатов и иных контактов, которые Клиент вносит в Сервис, оператором персональных данных является Клиент. Клиент самостоятельно определяет цели обработки, состав данных и обязан иметь законное основание (в том числе получать согласия субъектов) на их обработку и на передачу Оператору для обработки по поручению.

5.2. Оператор осуществляет обработку таких данных исключительно по поручению Клиента на основании Пользовательского соглашения (раздел «Поручение обработки персональных данных»), в объёме и в целях, необходимых для предоставления функций Сервиса: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление доступа Клиенту и уполномоченным им сотрудникам), блокирование, удаление, уничтожение.

5.3. Оператор соблюдает конфиденциальность таких данных, обеспечивает их безопасность мерами, указанными в разделе 9, и не использует их в собственных целях. Оператор не обязан получать согласие субъектов, данные которых вносит Клиент, — эта обязанность лежит на Клиенте (ч. 4 ст. 6 152-ФЗ).

5.4. Субъект, чьи данные внесены Клиентом, реализует свои права (раздел 8) через Клиента как оператора. Получив обращение такого субъекта, Оператор направляет его Клиенту и содействует в исполнении.

5.5. Публичные формы Сервиса (онлайн-запись, анкета кандидата, личный кабинет клиента, подписание коммерческого предложения и договора) содержат отдельную неотмеченную отметку согласия со ссылкой на текст согласия, в котором оператором указан Клиент (по реквизитам, заданным Клиентом в настройках), а Оператор указан как лицо, осуществляющее обработку по поручению. Текст перечисляет именно те данные, которые собирает данная форма. Без отметки форма не принимается; вид согласия, версия текста, дата и время, IP-адрес и сведения о браузере фиксируются, что помогает Клиенту выполнять требования ст. 9 152-ФЗ.

6.1. Все базы данных, содержащие персональные данные, размещены на серверах, расположенных на территории Российской Федерации: инфраструктура Yandex Cloud (ООО «Яндекс.Облако»), регион ru-central1. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан РФ производятся с использованием баз данных, находящихся на территории РФ (ч. 5 ст. 18 152-ФЗ).

6.2. Компоненты хранения:

• база данных PostgreSQL и сервисы аутентификации, API и файлового доступа: виртуальная машина Yandex Compute Cloud (ru-central1);
• загруженные файлы (документы, изображения, вложения): Yandex Object Storage (ru-central1), приватный бакет;
• отправка электронной почты: Yandex Cloud Postbox (РФ);
• функции искусственного интеллекта (подсказки, отчёты): Yandex AI Studio (YandexGPT) с отключённым сохранением запросов провайдером;
• резервные копии: на дисках той же инфраструктуры в РФ.

6.3. Лица, осуществляющие обработку персональных данных по поручению Оператора:

• ООО «Яндекс.Облако», ИНН 7704458262, ОГРН 1187746678580, 119021, г. Москва, ул. Льва Толстого, д. 16, помещ. 528: хостинг, хранение файлов, отправка электронной почты, сервисы искусственного интеллекта;
• ООО «ВК Цифровые Технологии», ИНН 7714415613, ОГРН 5177746017158, 125167, г. Москва, Ленинградский пр-кт, д. 39, стр. 79, этаж 17: почтовый ящик Оператора для обращений пользователей.

6.4. Для приёма оплаты адрес электронной почты плательщика и сумма платежа передаются платёжному сервису ООО «РОБОКАССА» (ИНН 5047063929, ОГРН 1055009302215). Реквизиты банковских карт обрабатываются платёжным сервисом и Оператору не передаются.

6.5. Трансграничная передача персональных данных не осуществляется. Оператор не использует иностранные облачные платформы, мессенджеры, аналитические и рекламные трекеры.

• данные учётной записи пользователя — в течение срока действия договора и 3 (трёх) лет после его прекращения, если более длительный срок не предусмотрен законом (например, для документов бухгалтерского и налогового учёта — 5 лет);
• данные, внесённые Клиентом (лиды, документы, файлы), — до их удаления Клиентом или до прекращения договора; после прекращения договора данные удаляются в течение 30 (тридцати) дней, если Клиент не запросил экспорт ранее;
• журналы доступа и безопасности — 12 (двенадцать) месяцев;
• записи о согласиях — в течение срока обработки соответствующих данных и 3 (трёх) лет после его окончания для подтверждения факта согласия;
• резервные копии — не более 30 (тридцати) дней, после чего перезаписываются.

7.2. По достижении целей обработки или при отзыве согласия (если иное основание отсутствует) данные уничтожаются в течение 30 дней. Уничтожение производится путём удаления записей из базы данных и файлов из хранилища с последующей перезаписью резервных копий.

8.1. Субъект персональных данных имеет право (ст. 14, 20, 21 152-ФЗ):

• получать сведения об обработке своих данных: подтверждение факта обработки, цели, способы, сроки, перечень данных, сведения о лицах, имеющих доступ;
• требовать уточнения, блокирования или уничтожения данных, если они неполные, устаревшие, неточные, незаконно полученные или не являются необходимыми для заявленной цели;
• отозвать согласие на обработку в разделе «Настройки → Персональные данные» или заявлением на электронную почту Оператора; при этом Оператор вправе продолжить обработку на иных законных основаниях (например, исполнение договора, требования закона);
• получить копию своих данных: по запросу на электронную почту Оператора; Клиент также может выгрузить базу лидов в формате CSV из интерфейса Сервиса;
• потребовать удаления учётной записи и всех связанных данных (в том числе лидов и загруженных файлов): отзыв согласия в разделе «Настройки → Персональные данные» или заявление на электронную почту Оператора; удаление выполняется в течение 30 дней, если для хранения не требуется иное законное основание;
• обжаловать действия или бездействие Оператора в Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) или в судебном порядке.

8.2. Обращения направляются на электронную почту info@umnicrm.ru с адреса, указанного при регистрации, либо почтой по адресу Оператора. В обращении указываются фамилия, имя, контактный адрес электронной почты и суть требования. Оператор вправе запросить подтверждение личности.

8.3. Оператор рассматривает обращение и даёт ответ в течение 10 (десяти) рабочих дней с момента получения; срок может быть продлён не более чем на 5 рабочих дней с уведомлением субъекта (ст. 20 152-ФЗ). Уничтожение данных по законному требованию выполняется в срок, не превышающий 30 дней (ст. 21 152-ФЗ).

8.4. Если данные субъекта внесены в Сервис Клиентом, обращение следует направлять этому Клиенту как оператору; Оператор содействует Клиенту в исполнении требования (п. 5.4).

9.1. Оператор принимает правовые, организационные и технические меры (ст. 18.1, 19 152-ФЗ), в том числе:

• назначение лица, ответственного за организацию обработки персональных данных; утверждение локальных актов;
• шифрование всех соединений (TLS), автоматическое обновление сертификатов;
• хранение паролей только в виде криптографических хешей; персональные токены доступа с ограниченным сроком действия;
• разграничение доступа на уровне строк базы данных: каждый Клиент и его сотрудники видят только данные своего рабочего пространства;
• база данных и внутренние сервисы недоступны из сети Интернет напрямую — только через защищённый шлюз;
• ежедневное резервное копирование, контроль целостности, журналирование доступа;
• хранение секретов и ключей только на сервере, недоступном третьим лицам; доступ администраторов к серверу только по SSH-ключам;
• учёт носителей, оценка вреда субъектам, внутренний контроль соответствия обработки требованиям 152-ФЗ;
• уведомление Роскомнадзора об инциденте, повлёкшем неправомерную передачу данных, в течение 24 часов и о результатах расследования — в течение 72 часов (ч. 3.1 ст. 21 152-ФЗ); уведомление затронутых Клиентов.

9.2. Доступ к персональным данным имеют только сотрудники Оператора, которым он необходим для исполнения обязанностей, и обязанные соблюдать конфиденциальность.

10.1. Сервис использует только технически необходимые cookies: идентификатор сессии авторизованного пользователя (HttpOnly), защита от подделки запросов (CSRF), запоминание настроек интерфейса и, при переходе по партнёрской ссылке, код партнёра (хранится 30 дней и передаётся при регистрации).

10.2. Оператор не использует сторонние аналитические счётчики, рекламные трекеры, пиксели социальных сетей и иные инструменты, передающие данные о посетителях третьим лицам или за пределы РФ.

10.3. При обращении к Сервису автоматически регистрируются IP-адрес, тип браузера и операционной системы, дата и время запроса, адрес запрошенной страницы. Эти сведения используются только для обеспечения работы и безопасности Сервиса и хранятся в журналах не более 12 месяцев.

10.4. Пользователь может отключить cookies в настройках браузера, однако в этом случае авторизация в Сервисе будет невозможна.

10.5. При первом посещении сайта показывается уведомление об использовании технически необходимых cookies. Отметка о том, что уведомление прочитано, хранится в локальном хранилище браузера. Уведомление не является согласием на обработку персональных данных.

11.1. Оператор вправе вносить изменения в настоящую Политику. Новая редакция вступает в силу с момента её публикации по адресу https://umnicrm.ru/privacy, если иное не предусмотрено новой редакцией. О существенных изменениях зарегистрированные пользователи уведомляются по электронной почте или через уведомление в Сервисе не позднее чем за 10 дней до вступления в силу.

11.2. Если изменения затрагивают состав данных или цели обработки, для которых требуется согласие, Оператор запрашивает новое согласие отдельно.

11.3. Вопросы, связанные с настоящей Политикой, направляйте на info@umnicrm.ru.

Редакция от 29 сентября 2026 г.